ISO 27001 y SOC 2 resuelven el mismo problema desde ángulos distintos: demostrar a un cliente grande que los datos que le vas a manejar están protegidos de verdad, no solo sobre el papel. El responsable de marketing que lidera la venta B2B rara vez decide cuál pedir, pero sí decide cuándo empezar a invertir en conseguirla, porque un departamento de compras puede frenar un contrato entero esperando ese certificado. Esta pieza compara coste, plazo y validez de las dos normas, y añade una tercera que pesa en los concursos públicos: el Esquema Nacional de Seguridad.
ISO 27001 certifica el sistema de gestión de seguridad de una empresa durante tres años, con auditorías de seguimiento anuales; SOC 2 Type II hay que repetirlo cada doce meses, sin excepción. Para un comprador europeo pesa más la primera certificación; para uno estadounidense, la segunda. España ya suma 3.483 organizaciones certificadas en ISO 27001, según AENOR.
ISO 27001 certifica el sistema completo de seguridad
ISO 27001 no certifica un producto ni un servidor: certifica el sistema de gestión de la seguridad de la información de toda la empresa, desde cómo se da de alta a un empleado hasta cómo se borra un disco duro que sale por avería. El certificado dura tres años, con una auditoría de seguimiento en el primer y el segundo año y una auditoría de renovación completa en el tercero. Eso lo hace más barato a medio plazo que un informe que caduca cada doce meses.
AENOR certifica bajo este esquema desde hace más de quince años y es, según sus propios datos, el principal certificador en España, donde ya hay 3.483 organizaciones certificadas, la tercera cifra más alta de Europa. Para una empresa que vende software o servicios a otras empresas en Barcelona, ese volumen importa: significa que el comprador ya conoce el sello y no tiene que explicárselo a su departamento legal.
Llegar hasta ahí empieza por una auditoría de seguridad informática que detecte qué controles faltan antes de pedir cita con el certificador: gestión de accesos, cifrado, copias de seguridad, contratos con proveedores. Sin ese diagnóstico previo, la fase 1 de la auditoría, la revisión documental, se alarga porque aparecen huecos que nadie había cerrado.
SOC 2 es el informe que exige EE. UU.
SOC 2 no es una certificación en el sentido de ISO 27001: es un informe de auditoría que firma una firma de contables acreditada por el AICPA, el organismo que fija los criterios de confianza (Trust Services Criteria) sobre los que se evalúa. Lo pide casi cualquier comprador estadounidense antes de firmar, y cada vez más empresas europeas que venden software como servicio a clientes de Estados Unidos lo añaden a su lista de compras junto a ISO 27001, no en su lugar.
Más allá de qué certificado pida el cliente, el nuevo Reglamento de Ciberresiliencia europeo obligará a reportar cualquier fallo grave de seguridad en 24 horas, así que tener ya implantado un sistema de gestión de la seguridad facilita cumplir ese plazo.
Type I y Type II no sirven para lo mismo
El informe Type I evalúa si los controles están bien diseñados en un momento concreto, como una foto fija: se consigue en pocas semanas y sirve para enseñar que el trabajo ya está en marcha. El Type II evalúa si esos controles funcionaron de verdad durante un periodo de observación de seis a doce meses, con evidencias reales de cada mes. Es el que de verdad pide un departamento de compras serio, porque el Type I se puede preparar para una fecha concreta y el Type II no: hace falta que el control funcione los doce meses, no solo el día de la auditoría. La diferencia práctica es que una pyme que necesita cerrar un contrato grande en tres meses puede presentar primero el Type I y comprometerse por escrito a entregar el Type II antes de la renovación anual.
Lo que cuesta certificar el SGSI de ISO 27001
El cheque no es solo el del auditor: la parte cara suele ser la consultoría previa, la que deja los controles listos para que la auditoría los apruebe a la primera. Para una pyme en Barcelona, el primer año completo, consultoría más auditoría, suele moverse en órdenes de magnitud parecidos entre ISO 27001 y SOC 2 Type II, pero el reparto de ese gasto en los años siguientes cambia mucho. Revisar antes el mantenimiento de servidores evita que la auditoría descubra huecos que ya se sabían y que habían quedado sin resolver.
| Certificación | Coste primer año | Validez | Qué exige después |
|---|---|---|---|
| ISO 27001 | 6.000 € – 20.000 € | 3 años | Auditoría de seguimiento en el año 1 y el 2 |
| SOC 2 Type I | 10.000 € – 25.000 € | Foto fija, sin renovación propia | Sirve de paso previo al Type II |
| SOC 2 Type II | 20.000 € – 60.000 € | 12 meses | Informe nuevo cada año, con observación continua |
| ENS (categoría básica) | 4.000 € – 12.000 € | 2 años | Auditoría de renovación completa |
La lectura que importa no es cuál cuesta menos el primer año, sino cuál hay que repetir. SOC 2 Type II obliga a mantener el gasto de auditoría cada doce meses de forma indefinida; ISO 27001 lo reparte en tres años y solo duplica el esfuerzo en la renovación. Para una empresa con ciclo de venta B2B largo, ese ritmo trienal encaja mejor con el calendario de renovación de los contratos grandes, que rara vez es anual.
¿Te ayudamos con esto?
Cuéntanos tu caso
Si esto te afecta, escríbenos en dos líneas y te respondemos por email con una valoración concreta.
El Esquema Nacional de Seguridad complica la venta pública
Ni ISO 27001 ni SOC 2 bastan si el cliente es una administración pública española o presta servicio a una. El Real Decreto 311/2022 regula el Esquema Nacional de Seguridad, que exige su propia certificación a quien maneje sistemas de información de una entidad pública, aunque sea como proveedor subcontratado. Muchas empresas lo descubren tarde, cuando ya han ganado el concurso y el pliego exige un certificado que no tienen.
El pliego tampoco se limita al ENS: muchos concursos públicos añaden además los requisitos de accesibilidad web en licitaciones públicas, así que conviene revisar los dos a la vez antes de presentar oferta.
Las categorías básica, media y alta cambian el esfuerzo
El ENS clasifica cada sistema en una de tres categorías según el daño que causaría un fallo de seguridad: básica, media o alta. Un sistema que solo gestiona el formulario de contacto de un ayuntamiento pequeño cae en básica, con un cuestionario de autoevaluación y una auditoría ligera. Un sistema que procesa datos de salud o de menores sube a media o alta, y ahí la auditoría se parece mucho a la de ISO 27001 en exigencia, con la diferencia de que la acredita ENAC y no vale cualquier certificador. Quien ya tiene ISO 27001 implantado ahorra buena parte del trabajo, porque los controles técnicos se solapan en gran medida con los del ENS; lo que no se solapa es la parte documental específica de la administración pública, que hay que montar desde cero.
Una pyme de Barcelona decide entre las tres normas
La pregunta que de verdad ahorra dinero no es cuál es mejor, sino cuál pide el cliente que ya está en la mesa de negociación. Pedir las tres a la vez sin que ninguna esté exigida en un contrato real es gastar presupuesto en un sello que nadie va a pedir todavía.
- Si la cartera de clientes es europea y el contrato se renueva cada dos o tres años, ISO 27001 encaja mejor con ese calendario.
- Si hay o va a haber clientes en Estados Unidos, o inversores que lo exigen en la due diligence, SOC 2 Type II entra antes o igual que ISO 27001.
- Si el cliente es una administración pública o un proveedor suyo, el ENS no es opcional: va en el pliego y sin él no se puede ni presentar oferta.
Una consultoría de sistemas IT que ya conozca las tres normas evita el error más caro, que es implantar controles pensados para una y descubrir en la auditoría que la otra pedía algo distinto en el mismo punto: la gestión de contraseñas de ISO 27001 no es exactamente la del ENS, aunque lo parezca sobre el papel.
Preguntas frecuentes sobre ISO 27001 y SOC 2
Estas son las dudas que más preguntan quienes empiezan a mirar estas certificaciones.
¿Puede una empresa tener las dos certificaciones a la vez?
Sí, y es habitual en empresas que venden en Europa y en Estados Unidos a la vez. Los controles técnicos se solapan bastante, así que implantar primero ISO 27001 reduce el trabajo para llegar después a SOC 2 Type II, aunque los informes y las auditorías siguen siendo procesos independientes y con coste propio.
¿Cuánto tarda en conseguirse ISO 27001 desde cero?
Entre seis y doce meses en una pyme, desde el primer diagnóstico hasta el certificado en mano. El plazo depende de cuántos controles falten al empezar y de si hay un responsable interno dedicado o todo recae en una consultoría externa que trabaja por horas sueltas.
¿El ENS sustituye a ISO 27001 si ya se tiene?
No. Reduce el trabajo porque comparte buena parte de los controles técnicos, pero exige su propia auditoría acreditada por ENAC y su propia documentación ligada a la normativa pública española, que ISO 27001 no cubre.
¿Qué pasa si el cliente pide el certificado y todavía no existe?
Se puede ofrecer un compromiso por escrito con fecha de entrega y, en el caso de SOC 2, presentar primero el informe Type I mientras se completan los meses de observación del Type II. Muchos departamentos de compras lo aceptan si la fecha es realista y se cumple.
Fuente: AENOR
